新連載：ITの過去から紡ぐIoTセキュリティ

史上最悪規模のDDoS攻撃　「Mirai」まん延、なぜ？（4/4 ページ）

　Miraiの標的になった機器の中には、パスワードが設定ファイルやソースコードに固定的に埋め込まれており（＝ハードコード）、ユーザー自身では変更できない場合がありました。この場合は往々にして、同一モデルの機種に共通のID／パスワードが設定されており、その情報がマニュアルなどの形でインターネット上で公開されているため、侵入はより容易になってしまいます。Miraiの被害を受けたものの、後からパスワードの変更ができないため、やむを得ずリコールを行ったメーカーもありました。

　実は、PCの世界やスマートフォン向けアプリの世界でも同じ問題がありました。Javaなどで企業独自の業務アプリケーションを開発する際、ソースコードにパスワードやIPアドレス、暗号鍵といった重要な情報が埋め込まれてしまうケースがあったのです。

　しかし今では、こうしたやり方は情報漏えいや不正アクセスにつながる恐れがあるとして、脆弱性検査などで指摘されるようになっていますし、開発者向けのガイドラインでも避けるよう推奨されています。ユーザー側の努力だけではどうしようもない問題がIoT機器で繰り返されることのないよう、メーカーには開発時からの配慮を求めたいところです。ユーザーもそうした製品がリリースされないよう声を上げることが重要でしょう。

　さて、このMiraiですが、作者を名乗る人物がソースコードを公開したこともあって、17年以降、次々に亜種が登場しました。猛威を振るい始めてから1年以上たった今も、時に警察庁などが警戒を呼び掛けるほど、Miraiとその亜種はまん延しています。今後の記事ではその理由の1つ、ネットワーク接続の設定について考察してみたいと思います。

ITの過去から紡ぐIoTセキュリティ

家電製品やクルマ、センサーを組み込んだ建物そのものなど、あらゆるモノがネットにつながり、互いにデータをやりとりするIoT時代が本格的に到来しようとしています。それ自体は歓迎すべきことですが、IoT機器やシステムにおける基本的なセキュリティ対策の不備が原因となって、思いもよらぬリスクが浮上しているのも事実です。 この連載ではインターネットの普及期から今までPCやITの世界で起こった、あるいは現在進行中のさまざまな事件から得られた教訓を、IoTの世界に生かすという観点で、対策のヒントを紹介していきたいと思います。

この連載の記事をもっと見る

この記事の著者